AIによって新たなタイプのサイバー犯罪者が登場し、企業に直接侵入することで得られる大きな利益に狙いを定めています。
生成AIの進歩により、詐欺師は需要の高いリモート技術職の採用プロセスを悪用できるようになりました。
組織は今日、採用慣行の健全性を確保するため、防御を強化しなければなりません。
生成人工知能（AI）は、脅威アクターの能力を高め、サイバーセキュリティの状況を変えています。
AI搭載ツールを使えば、今では1人の脅威アクターが複数人分の仕事をこなせます。例えば、Anthropicによる最近の分析では、AIが統括するサイバースパイ活動について、脅威アクターが人間の断続的な介入だけで攻撃の80～90％をAIに実行させていたことを研究者が確認しました。
パスワードや銀行口座情報、その他の個人を特定できる情報（PII）など、侵害につながる情報を人から聞き出すソーシャルエンジニアリングの手口は巧妙化しており、その影響をすでに多くの人が感じています。また、脅威アクターがAIを使ってログインページを偽装し、利用者の認証情報を収集しようとする事例も確認されています。
さらに、AIによって新たなタイプのサイバー犯罪者が登場し、企業に直接侵入することで得られる大きな利益に狙いを定めています。
具体的には、生成AIの進化により、詐欺師は需要の高いリモート技術職の採用プロセスを悪用できるようになりました。AIツールで理想的な候補者に見える架空の履歴書を作り、ディープフェイク技術で選考を通過して面接を受けることで、詐欺師がリモートのIT職に採用された事例が確認されています。
こうしたAIを駆使した労働者詐欺の出現により、AI時代のアイデンティティセキュリティが抱える根本的な課題が改めて浮き彫りになっています。AIツールが進化を続け、サイバー犯罪者が業務にエージェント型のワークフローを組み込むなか、組織は攻撃対象領域が採用や入社手続きにまで広がっていること、そして効果的なアイデンティティ管理が防御強化に果たす役割を理解する必要があります。
脅威の実態
近年、テクノロジー業界はリモートワークの代表例となっていました。ソフトウェアエンジニアリングなど、基本的に場所を問わず働ける技術職が多く、テクノロジー企業は世界中から人材を採用できました。そのため、テクノロジー業界はこうしたリモートワーカー詐欺の最初の標的となりました。
これまでのところ、この手口の最も顕著な事例は、国家の支援を受けたアクターが仕組んだものです。主な動機は自国の資金調達であり、リモート職を狙うことで、何も知らない企業を犠牲にして利益を得ています。
しかし、デジタルイノベーションが急速に進み、テクノロジー業界以外でもリモート技術職が増加しています。例えば、医療機関ではモバイルアプリ開発や電子記録管理プラットフォームの採用が拡大しています。金融サービスでは、給与計算や経理など、バックオフィス業務の新たな職種が生まれています。
最新の調査によると、これらの攻撃を受けた企業の約半数はテクノロジー業界以外に属し、標的全体の約4分の1は米国外にありました。
手口を探る
こうした攻撃を可能にするため、脅威アクターはほぼあらゆる段階で生成AIツールを活用しています。Okta Threat Intelligenceが確認した活動に基づくと、詐欺師が不正に就職するまでの典型的な手順は次のようなものです。
攻撃者はまず、AIで強化された採用プラットフォームに偽の求人情報を掲載します。それは標的組織の求人情報に似ており、場合によってはまったく同じに見えます。正規の候補者がこの偽の求人に応募すると、脅威アクターは実際の応募書類の特徴を調べ、その内容をAIに学習させて、本物の求人に応募するための書類を作成します。
履歴書を推敲した後、詐欺師は応募者追跡ソフトウェアで作り上げた人物像を試し、多くの採用プラットフォームが使う自動選考を通過する可能性を高めます。
応募が通り面接が設定されると、脅威アクターはAIを使ったウェブカメラ面接レビューサービスを利用します。こうしたサービスで模擬面接を行い、ディープフェイクの重ね合わせがどれほど有効か、また大規模言語モデル（LLM）が難しい技術的な質問にどう答えるかを確かめ、面接の回答を台本化します。
面接のうちどの程度が採用につながるのかは明らかではありませんが、詐欺師が職を得た場合、日々の業務を遂行するためにAI搭載チャットボットに大きく依存します。
防御を強化する
多くの業界で、柔軟な働き方が新たな標準として定着しています。米国労働統計局（BLS）によると、昨年、在宅勤務をする米国人の割合は急増し、23％に達しました。これは3,500万人を超える労働者に相当します。
現実として、組織は採用慣行の健全性を確保するため、防御を強化しなければなりません。企業は次の手順で採用プロセスを強化できます。
1. 選考と採用を厳格化する：人事・採用チームは、不正な候補者に見られるささいな危険信号を見分けられるよう訓練する必要があります。よくある兆候として、面接の回ごとに候補者が入れ替わる、カメラをつけるのを拒む、インターネット接続が極端に悪い、といった点が挙げられます。
直接監視のもとでリアルタイムのスキル実演を求めるなど、技術面と行動面を体系的に確認するプロセスを導入すれば、チームは潜在的な詐欺師を見分けやすくなります。また採用担当者は、候補者のデジタル上の足跡と申告された職歴の信頼性を調査し、提出されたサンプルやプロジェクトが既存のプロフィールから複製されたものではないことを確かめる必要があります。
2. 身元を厳格に確認する：組織は採用の複数段階から雇用開始後にかけて、検証可能な政府発行身分証明書の確認を行う必要があります。第三者サービスを利用すれば、身分証明書や学歴資格の真正性を確認できます。所在地の偽装を防ぐため、候補者が申告した所在地を、IPアドレス、タイムゾーンの利用状況、給与情報などの技術データと照合する必要があります。
従業員の入社手続きが始まった後も、身元確認を続ける必要があります。組織は役割ベースのアクセス制御とアクセスの分離を徹底し、新たな有期・臨時労働者には、試用期間と確認手続きが完了するまで、最小限の権限とアクセスのみを付与するべきです。
3. 内部脅威を監視する：組織は、潜在的な脅威を先回りして管理するため、専任の内部リスク機能を設ける必要があります。人事、法務、セキュリティ、ITのメンバーで構成するワーキンググループがその役割を担うこともよくあります。この機能では、大量のデータ取得、通常と異なる地域やVPNからの時間外ログイン、認証情報の共有など、不審なアクセスパターンを監視します。これらはいずれも、通常とは異なる内部活動を示す可能性があります。
組織はまた、従業員が不審な活動に気づき、報告できるよう教育し、必要な権限を与える必要があります。
AI時代の未来に備える
生成AIがサイバーセキュリティの状況を変え続けるなか、採用プロセスはますます重大な攻撃経路になっています。
こうした詐欺はより多くの業界に広がっており、古い選考プロセスに頼り続けても安全な組織はありません。防御を強化するには、厳格な確認と継続的な監視を重視した、多層的なアイデンティティセキュリティのアプローチが必要です。これにより、不正に採用された人物が重大な内部脅威となるのを防ぎます。
